[June Jakita] 📍:: ลายมือชื่ออิเล็กทรอนิกส์ (E-Signature):: (ตอน 2) ความเดิมจากตอนที่แล้ว ได้อธิบายว่าการเข้ารหัสโดยใช้ Private Key หรือกุญแจส่วนตัวนั้น จะไม่ทำให้ข้อความที่เข้ารหัสเป็นความลับ เนื่องจากใครก็ตามที่ม

สำรวจ
ลงทุน
คำถาม

มีบัญชีอยู่แล้ว?หรือ

•

18 ม.ค. 2021 เวลา 07:57 • ธุรกิจ

📍:: ลายมือชื่ออิเล็กทรอนิกส์ (E-Signature):: (ตอน 2)

ความเดิมจากตอนที่แล้ว ได้อธิบายว่าการเข้ารหัสโดยใช้ Private Key หรือกุญแจส่วนตัวนั้น จะไม่ทำให้ข้อความที่เข้ารหัสเป็นความลับ เนื่องจากใครก็ตามที่มี Public Key หรือกุญแจสาธารณะที่เป็นคู่ของมัน สามารถที่จะใช้ในการถอดรหัสได้

อย่างไรก็ตาม การใช้ Private Key ในการเข้ารหัส จะมีประโยชน์ในการยืนยันตัวตนว่า ผู้ที่ส่งสารมานั้น เป็นนาย A เจ้าของ Private Key จริง เพราะ Private Key มีเพียงดอกเดียว เก็บอยู่กับตัวเจ้าของเท่านั้น

💡การยืนยันตัวตนโดยใช้ระบบ RSA เพื่อใช้เป็นลายมือชื่อดิจิทัล เพื่อให้ครบองค์ประกอบเป็นลายมือชื่ออิเล็กทรอนิกส์ที่เชื่อถือได้ตามมาตรา 26

ปรกติวิธีการพวกนี้เราไม่จำเป็นต้องมานั่งทำเอง เพราะมันมีโปรแกรมให้

ถ้าใครอยากลองสร้าง keys ขึ้นมาเล่น ๆ โดยใช้วิธี RSA ก็ลองไปเล่นกันได้ที่นี่

https://www.devglan.com/online-tools/rsa-encryption-decryption

✏ลายมือชื่ออิเล็กทรอนิกส์ที่เชื่อถือได้ซึ่งใช้ใบรับรองที่ออกโดยผู้ให้บริการออกใบรับรอง (มาตรา 28)

ลายมือชื่ออันนี้จะมีปัจจัยอีกอันที่งอกขึ้นมาคือ CA (Certification Authority) หรือ ผู้ให้บริการออกใบรับรอง ซึ่งเป็นบุคคลที่รู้จักเจ้าของกุญแจ มาช่วยยืนยันเพิ่ม

โดยจะเป็นใบรับรองเพื่อสนับสนุนลายมือชื่ออิเล็กทรอนิกส์ให้มีผลทางกฎหมาย "เสมือนหนึ่งลงลายมือชื่อ"

เหตุที่ต้องมี CA เนื่องจากเทคโนโลยีเพียงอย่างเดียวนั้นไม่สามารถระบุได้ว่าบุคคลนั้นเป็นเจ้าของกุญแจซึ่งอ้างถึงจริงหรือไม่ จึงต้องมีที่บุคคลที่สามที่เชื่อถือได้ (trusted third party) เพื่อรับรองความเป็นเจ้าของของกุญแจสาธารณะ (public key) หรือรับรองลายมือชื่อดิจิทัลด้วย โดย CA จะออกใบรับรองเลขฐานสองที่เข้ารหัสแล้วเพื่อรับรองอัตลักษณ์ของเจ้าของกุญแจสาธารณะและยึดโยงบุคคลดังกล่าวกับกุญแจสาธารณะ

ลายมือชื่ออิเล็กทรอนิกส์ตามมาตรา 28 มีองค์ประกอบ คือ

I. ลายมือชื่อดิจิทัล (Digital Signature)

II. ใบรับรองที่ออกโดยผู้ให้บริการออกใบรับรอง (Certification Authority: CA)

💡ตัวอย่างใบรับรองที่เราอาจเห็นได้ในยุคปัจจุบัน มักจะอยู่ในรูป exeutable file หน้าตาประมาณนี้

พอ double click ไปก็จะเจอรายละเอียดประมาณนี้ (สามารถไปลองหาโหลดเล่นได้จากเว็บของ สพธอ. หรือ EDTA)

💡ตัวอย่างการใช้ระบบใบรับรองควบคู่กับลายมือชื่อดิจิทัล

อิตัว certificate นี้ บางที่เรียกว่า Digital ID

💡ดิจิทัลไอดี (Digital Identity หรือ Digital ID) หมายถึง คุณลักษณะ หรือชุดของคุณลักษณะที่ถูกรวบรวมและบันทึกในรูปแบบดิจิทัล ซึ่งดิจิทัลไอดีแต่ละอันจะมีคุณลักษณะเฉพาะที่แตกต่างจากดิจิทัลไอดีอื่น ๆ ที่อยู่ภายใต้บริการเดียวกัน (unique) ทำให้สามารถใช้ระบุตัวบุคคลในบริบทที่กำหนด และสามารถใช้ทำธุรกรรมอิเล็กทรอนิกส์หรือธุรกรรมออนไลน์

เนื่องจากดิจิทัลไอดีไม่จำเป็นต้องระบุตัวตนที่แท้จริงของผู้ใช้บริการได้เสมอไป เช่น กรณี social network ฉะนั้น ในการเข้าทำธุรกรรมอิเล็กทรอนิกส์ที่มีความเสี่ยงสูง ผู้ให้บริการจะต้องทราบตัวตนที่แท้จริงของผู้ใช้บริการที่เชื่อมโยงกับดิจิทัลไอดี ซึ่งจำเป็นต้องเข้าสู่กระบวนการพิสูจน์และยืนยันตัวตน

โดยความเสี่ยงของการใช้ดิจิทัลไอดี แบ่งออกเป็น 2 ด้าน คือ ความเสี่ยงของการพิสูจน์ตัวตนผิดพลาด เช่น ผู้สมัครใช้บริการแอบอ้างชื่อบุคคลอื่นในการลงทะเบียน และความเสี่ยงของการยืนยันตัวตนผิดพลาด เช่น ผู้แสดงสิ่งที่ใช้ยืนยันตัวตนไม่ใช่เจ้าของสิ่งที่ใช้ยืนยันตัวตน

ข้อเสนอแนะมาตรฐานด้านเทคโนโลยีสารสนเทศและการสื่อสารที่จำเป็นต่อธุรกรรมทางอิเล็กทรอนิกส์ ที่ ขมธอ. 18-2561 ว่าด้วยแนวทางการใช้ดิจิทัลไอดีสำหรับประเทศไทย - ภาพรวมและอภิธานศัพท์ แบ่งระดับความน่าเชื่อถือเป็น 2 ด้าน คือ

1) ระดับความน่าเชื่อถือของไอเดนทิตี (Identity Assurance Level: IAL)

2) ระดับความน่าเชื่อถือของสิ่งที่ใช้ยืนยันตัวตน (Authenticator Assurance Level: AAL)

ระดับความน่าเชื่อถือของ Identity อันนี้จะใช้ตอนเปิดบัญชี หรือสร้างบัญชี ส่วนระดับความน่าเชื่อถือของสิ่งยืนยันตัวตน จะใช้ในการล็อกอินเข้าใช้บริการแต่ละครั้ง

ตารางเปรียบเทียบระดับความน่าเชื่อถือ

💡สรุปเรื่องลายมือชื่ออิเล็กทรอนิกส์

ตารางสรุปองค์ประกอบ E - Signature จาก สพธอ. หรือ EDTA

ดูคำอธิบายเพิ่มเติมของระดับ IAL และ AAL ได้ที่เว็บไซต์ของ EDTA

standard.etda.or.th

ประกาศข้อเสนอแนะมาตรฐานฯ เกี่ยวกับแนวทางการใช้ดิจิทัลไอดีสำหรับประเทศไทย จำนวน 3 ฉบับ – Office of Standard, Electronic Transaction Development Agency

⚖:: ผลทางกฎหมายของลายมือชื่ออิเล็กทรอนิกส์ ::

⭐ใช้วิธีการทางอิเล็กทรอนิกส์ได้เฉพาะกับธุรกรรมในทางแพ่งและพาณิชย์ เว้นแต่ ธุรกรรมเกี่ยวกับครอบครัว และมรดก (มาตรา 3)

⭐ห้ามมิให้ปฏิเสธการมีผลทางกฎหมายของสัญญาเพียงเพราะเหตุที่สัญญานั้นได้ทำคำเสนอหรือคำสนองเป็นข้อมูลอิเล็กทรอนิกส์ (มาตรา 7 และมาตรา13)

⭐แม้กฎหมายจะห้ามมิให้ปฏิเสธการรับฟังข้อมูลอิเล็กทรอนิกส์รวมทั้งสิ่งพิมพ์ออก เป็นพยานหลักฐาน แต่ยังคงเป็นดุลพินิจของศาลที่จะให้น้ำหนักความน่าเชื่อถือของวิธีการรักษาความถูกต้อง (มาตรา 10 วรรค 3 และ มาตรา 11 วรรคสอง)

กล่าวคือ ทั้งหมดทั้งมวล ขึ้นอยู่กับศาลท่านว่านั่นเอง ซึ่งอย่างไรก็ตาม ถ้าเรา generate ลายมือชื่อตามคำแนะนำ Guideline ของ ETDA หรือ สพธอ. แล้ว ก็ไม่น่าจะมีปัญหาเรื่องการรับฟังเป็นพยานหลักฐาน

⚖::แนวทางของศาลไทย::

⭐ฎ. 8089/2556 การที่จำเลยนำบัตรกดเงินสดควิกแคชไปถอนเงินและใส่รหัสส่วนตัวเปรียบได้กับการลงลายมือชื่อตนเอง ทำรายการเบิกถอนเงินตามที่จำเลยประสงค์ และกดยืนยันทำรายการพร้อมรับเงินสดและสลิป การกระทำดังกล่าวถือเป็นหลักฐานการกู้ยืมเงินจากโจทก์ ตาม พ.ร.บ.ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ.2544 มาตรา 7, 8 และมาตรา 9

การนำบัตรกดเงินสดดังกล่าวไปใช้เบิกถอนเงินสด ซึ่งต้องทำตามขั้นตอนที่ระบุในคู่มือการใช้บริการ ต้องใส่รหัสผ่าน 4 หลัก เลือกรายการถอนเงินจากบัญชีสินเชื่อเงินสด เลือกระยะเวลาการผ่อนชำระ ระบุจำนวนเงินที่ต้องการและรับเงินสดพร้อมสลิปไว้เป็นหลักฐาน ซึ่งในสลิปจะปรากฏอัตราดอกเบี้ยและค่าธรรมเนียมการใช้วงเงินในแต่ละครั้งอยู่ด้วย ถือเป็นอักษร อักขระ ตัวเลข ที่สร้างขึ้นให้อยู่ในรูปแบบอิเล็กทรอนิกส์ซึ่งนำมาใช้ประกอบกับข้อมูลอิเล็กทรอนิกส์เพื่อแสดงความสัมพันธ์ระหว่างบุคคลกับข้อมูลอิเล็กทรอนิกส์ โดยมีวัตถุประสงค์เพื่อระบุตัวบุคคลผู้เป็นเจ้าของลายมือชื่ออิเล็กทรอนิกส์ที่เกี่ยวข้องกับข้อมูลอิเล็กทรอนิกส์นั้น และเพื่อแสดงว่าบุคคลดังกล่าวยอมรับข้อความในข้อมูลอิเล็กทรอนิกส์นั้น จึงเป็นลายมือชื่ออิเล็กทรอนิกส์

ℹ จากฎีกาข้างต้น ศาลบอกว่า ใช้บัตร + รหัส = การลงลายมือชื่อแล้ว

เรามาพิจารณากันนะคะว่ามันเข้าลักษณะของลายมือชื่อมาตราไหน

▪️บัตรกดเงินสด + รหัส คือสิ่งยืนยันตัวตนแบบ multi factor ระดับความน่าเชื่อถือที่ AAL 3

▪️การยืนยันตัวตนเพื่อเปิดบัญชีใช้บัตร หรือการแจก Private/Public Key ก็ต้องไปทำที่ธนาคารผู้ออกบัตร ก็เป็น IAL 3

▪️แน่นอนว่ามันเข้าเงื่อนไขลายมือชื่อดิจิทัลที่ใช้ระบบ PKI

อย่างไรก็ตาม พิจารณาแค่ว่ามันเข้ามาตรา 9 เป็นลายมือชื่ออิเล็กทรอกนิกส์ทั่วไป ไม่ได้ใช้มาตรา 28 ซึ่งซับซ้อนมากมาปรับ

⭐ฎ. 6757/2560 จำเลยทำสัญญากู้ยืมเงินโจทก์ 595,500 บาท ตกลงชำระดอกเบี้ยในอัตราร้อยละ 1 ต่อเดือน จำเลยได้รับเงินที่กู้ยืมครบถ้วนแล้ว หลังจากทำสัญญาจำเลยไม่ชำระต้นเงิน คงชำระดอกเบี้ย 4 ครั้ง รวมเป็นเงิน 6,550 บาท การที่โจทก์ส่งข้อความทางเฟสบุ๊ค ถึงจำเลยมีใจความว่า เงินทั้งหมด 670,000 บาท ไม่ต้องส่งคืน ยกให้หมด ไม่ต้องส่งดอกอะไรมาให้ จะได้ไม่ต้องมีภาระหนี้สินติดตัว การส่งข้อมูลดังกล่าวเป็นการสนทนาผ่านระบบเครือข่ายอินเตอร์เน็ต ถือว่าเป็นการส่งข้อมูลทางอิเล็กทรอนิกส์ จึงต้องนำ พ.ร.บ.ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ.2544 มาตรา 7 ถึง มาตรา 9 มาใช้บังคับด้วย แม้ข้อความนี้จะไม่มีการลงลายมือชื่อโจทก์ก็ตาม แต่การส่งข้อความทางเฟสบุ๊คจะปรากฏชื่อผู้ส่งด้วยและโจทก์ก็ยอมรับว่าได้ส่งข้อความถึงจำเลยจริง ข้อความการสนทนาดังกล่าวจึงรับฟังได้ว่า เป็นการแสดงเจตนาปลดหนี้ให้แก่จำเลยโดยมีหลักฐานเป็นหนังสือตาม ป.พ.พ. มาตรา 340 แล้ว หนี้ตามสัญญากู้ยืมย่อมระงับ จำเลยไม่ต้องรับผิดชำระหนี้แก่โจทก์ โจทก์ไม่มีอำนาจฟ้อง

ℹ ฎีกาที่สอง ศาลบอกว่า การส่งข้อความทาง Facebook โดยมีชื่อโจทก์ด้วย ก็เพียงพอเป็นลายมือชื่อ (อิเล็กทรอนิกส์) แล้ว

เรามาแยกองค์ประกอบกันต่อค่ะ

▪️การสมัคร Facebook เป็น IAL1 ค่ะ บางคนอาจไม่ต้องแสดงหลักฐานอะไรเลย self-asserted โดยแท้ แต่บางคนที่โดนรีพอร์ต หรือเปลี่ยนชื่อบ่อยก็จะโดนบังคับให้อัพรูปบัตรประชาชน แล้วก็ห้ามเปลี่ยนชื่อนะคะ (อันนี้ประสบการณ์ตรง 555) ซึ่งการใช้ Facebook อาจระบุตัวเจ้าของได้หรือไม่ก็แล้วแต่กรณี

▪️การใช้พาสเวิดล็อกอินเข้าไป คือ AAL1 หรือบางคนกลัวโดนแฮก อาจเปิดใช้ระบบ two-factor authentication ซึ่งจะเป็น AAL2 ละ

▪️เช่นกัน การเข้าใช้งานระบบพวกนี้มันมีการใช้ PKI

ฉะนั้น เคสนี้ เกือบครบองค์ประกอบของ ลายมือชื่ออิเล็กทรอนิกส์ที่เชื่อถือได้ซึ่งใช้ใบรับรองที่ออกโดยผู้ให้บริการออกใบรับรอง (มาตรา 28) แล้ว ทั้งนี้ ต้องคำนึงด้วยว่า การที่ศาลตีเข้ามาตรา 9 เพราะเค้าใช้ชื่อจริงเล่น และได้มีการยอมรับกันแล้วในศาลด้วย (ซึ่งส่วนนี้จะเป็นเรื่องของกฎหมายพยานหลักฐานเราจะข้ามไปไม่พูดรายละเอียด) หากเค้าใช้ชื่อปลอมหรือนามแฝง อาจไม่ครบองค์ประกอบของลายมือชื่ออิเล็กทรอนิกส์ เพราะไม่สามารถระบุตัวตนได้

❓❔ช่วงคำถามจากทางบ้าน

อธิบายรูปข้างบน...

▪️ถ้าเอกสาร auto generate จะเป็น มาตรา 9 เลย เพราะไม่มีเรื่องการยืนยันตัวตนใด ๆ ยุ่บยั่บ แต่ถ้าคนเซ็นต้องมีการล็อกอินเข้าไปใช้ ระบบคีย์คู่ อันนี้ อาจเป็น Digital Signature ตามมาตรา 26 และถ้ามีหน่วยงานออกใบรับรองก็จะเป็นมาตรา 28

▪️สำหรับกรณีเซ็นในไอแผดก็เช่นกัน ถ้าทำผ่านโปรแกรมที่ใช้ระบบ PKI ก็อาจเป็นลายมือชื่อมาตรา 28 ได้

▪️ส่วนการเซ็นแล้วสแกน นอกจากเป็นลายมือชื่อทั่วไปตามมาตรา 9 แล้ว อาจเป็นกรณีการรับรองสิ่งพิมพ์ออก และการแปลงเอกสารให้อยู่ในรูปอิเล็กทรอนิกส์ ซึ่งเป็นอีกเรื่องนึงละ

▪️การซื้อของในชอปปี้ อันนี้เป็นลายมือชื่อดิจิทัลแน่ ๆ ถ้าตอนจะจ่ายตังค์ จ่ายโดยบัตรเครดิต เพราะการซื้อนี่ก็มีชื่อจริงอะไรจริงในการทำธุรกรรมจ่ายตังค์ สืบสาวไปได้ แม้ว่าแอคเค้าจะนามแฝงก็ตาม

แต่ถ้าจ่ายแบบโอนเงิน ไม่รู้ว่าใคร อันนี้ น่าจะยังไม่เข้าข่ายลายมือชื่ออิเล็กทรอนิกส์ที่เชื่อถือได้ แต่อาจเข้ามาตรา 9 ถ้ามีการถ่ายรูปสลิปการโอนเงินส่งให้กัน เพราะนี่ก็คือการยืนยันตัวตนวิธีหนึ่ง

แต่ถ้าสร้างแอดเค้ามาส่องมาแชทเฉย ๆ อันนี้ ไม่น่าเข้าข่ายเป็นลายมือชื่ออิเล็กทรอนิกส์ไม่ว่ามาตราใด ๆ

▪️ส่วนกรณี F ของในไลฟ์ อาจดูฎีกาก่อนหน้านี้เทียบเคียงได้ แต่อย่างที่บอกไป เค้าใช้ชื่อจริงเล่นค่ะ ถ้าเราใช้นามแฝง ระบุตัวตนไม่ได้ ก็อาจจะไม่เข้าเกณฑ์เป็นลายมือชื่ออิเล็กทรอนิกส์ ต่อให้เราแสดงเจตนาโดยการ F รัว ๆ ว่า ชั้นจองละนะ แต่ก็ยังไม่มีผลผูกพัน จนกว่าจะโอนแล้วส่งสลิปเงินยืนยันตัวตนนั่นแหล่ะ ทั้งนี้ จะน่าเชื่อถือในระกับไหนก็ขึ้นอยู่กับดุลพินิจของคู่สัญญาค่ะ

📚[[อ้างอิง (ทั้งตอน 1 และตอน 2)]]

- พ.ร.บ.ว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ 2544

- พระราชกฤษฎีกากำหนดประเภทธุรกรรมในทางแพ่งและพาณิชย์ที่ยกเว้นมิให้นำกฎหมายว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์มาใช้บังคับ พ.ศ. ๒๕๔๙

- (ร่าง) พระราชกฤษฎีกา ว่าด้วยการควบคุมดูแลธุรกิจบริการเกี่ยวกับระบบการพิสูจน์และยืนยันตัวตนทางดิจิทัล ที่ต้องได้รับใบอนุญาต พ.ศ. ....

- ประกาศอธิบดีกรมสรรพากร (ฉบับที่ 15) เรื่อง กำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขในการจัดทำ ส่งมอบ และเก็บรักษาใบกำกับภาษีอิเล็กทรอนิกส์ และใบรับอิเล็กทรอนิกส์

- ข้อเสนอแนะมาตรฐานด้านเทคโนโลยีสารสนเทศและการสื่อสารที่จำเป็นต่อธุรกรรมทางอิเล็กทรอนิกส์ ที่ ขมธอ. 23-2563 ว่าด้วยแนวทางการลงลายมือชื่ออิเล็กทรอนิกส์

- ข้อเสนอแนะมาตรฐานด้านเทคโนโลยีสารสนเทศและการสื่อสารที่จำเป็นต่อธุรกรรมทางอิเล็กทรอนิกส์ ว่าด้วยแนวทางการใช้ดิจิทัลไอดีสำหรับประเทศไทย - ภาพรวมและอภิธานศัพท์

- ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวทางการจัดทำแนวนโยบาย (Certificate Policy) และแนวปฏิบัติ (Certification Practice Statement) ของผู้ให้บริการออกใบรับรองอิเล็กทรอนิกส์ (Certification Authority) พ.ศ. ๒๕๕๒

- ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง การรับรองสิ่งพิมพ์ออก พ.ศ. 2555 ลว. 17 ม.ค. 2555

- ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง หน่วยงานรับรองสิ่งพิมพ์ออก พ.ศ. 2555 ลว. 17 ม.ค. 2555

- https://standard.etda.or.th/?page_id=7720

- https://www.nrca.go.th/faq.html

- https://www.nrca.go.th/content/issue-cert.html

- https://rb.gy/zru2ot

- https://www.blognone.com/node/45433

- http://www.bangkokbiznews.com/blog/detail/645044

- https://brilliant.org/wiki/rsa-encryption/

- https://www.getinvoice.net/%E0%B9%83%E0%B8%9A%E0%B8%A3%E0%B8%B1%E0%B8%9A%E0%B8%A3%E0%B8%AD%E0%B8%87%E0%B8%AD%E0%B8%B4%E0%B9%80%E0%B8%A5%E0%B9%87%E0%B8%81%E0%B8%97%E0%B8%A3%E0%B8%AD%E0%B8%99%E0%B8%B4%E0%B8%81%E0%B8%AA%E0%B9%8C/

- https://docs.microsoft.com/en-us/windows/win32/seccertenroll/public-key-infrastructure?redirectedfrom=MSDN

โฆษณา

ดาวน์โหลดแอปพลิเคชัน

ดาวน์โหลดแอปพลิเคชัน